Construire un modèle d'escalade des alarmes qui atteint réellement quelqu'un

Dans presque chaque analyse d'incident, la mesure était correcte et l'alarme s'est bien déclenchée. Ce qui a échoué, c'est tout ce qui a suivi : le numéro appartenait à quelqu'un qui était parti, le téléphone était en mode silencieux, le courriel arrivait sur une boîte partagée que personne ne lit la nuit, ou l'alarme était l'une des quarante de la journée et avait perdu tout son sens. La résilience se joue dans le chemin entre la mesure et la personne, pas dans le capteur.

• La liste de contacts était correcte il y a deux changements de personnel.
• Un seul canal : un courriel, un SMS, ou une lumière dans un couloir que personne n'emprunte la nuit.
• Aucun accusé de réception, donc personne ne sait si le message est arrivé.
• Un volume d'alarmes tel qu'un véritable écart se noie dans le reste.
• Aucun enregistrement de qui a été appelé, quand, et ce qui a été fait.

Une limite doit refléter ce que le matériel stocké peut supporter, pas ce qu'affiche l'écran de l'équipement. Utilisez une préalarme bien à l'intérieur de la bande tolérée, une limite d'action à la lisière de celle-ci, et un délai assez long pour absorber le fonctionnement normal (une porte qui s'ouvre, un cycle de dégivrage) mais assez court pour laisser une marge d'action utilisable.

Rédigez l'échelle comme une séquence de personnes nommées avec des délais, pas comme un groupe. Une notification de groupe dilue la responsabilité jusqu'à ce que plus personne ne s'en charge. Chaque étape doit changer soit la personne, soit le canal, et chaque étape a besoin d'un délai explicite au-delà duquel l'alarme passe à l'étape suivante.

• Étape 1 : la personne d'astreinte pour cette zone, par appel téléphonique, avec accusé de réception obligatoire.
• Étape 2 après un intervalle fixe : le deuxième nom sur le planning d'astreinte, sur un canal différent.
• Étape 3 : le responsable de service ou le responsable technique d'astreinte.
• Étape 4 : un recours permanent toujours assuré, y compris pendant les semaines de congés.
• En continu : chaque tentative, chaque accusé de réception et chaque transfert enregistrés avec un horodatage.

La fatigue liée aux alarmes est un problème de conception. Si une personne reçoit plus d'alarmes qu'elle ne peut réellement traiter, elle commencera à filtrer, et ce filtre n'est pas sélectif. Passez en revue le journal d'alarmes chaque mois, identifiez les cinq sources qui génèrent le plus de trafic et corrigez la cause : un capteur mal placé, une limite calée sur l'équipement plutôt que sur le produit, un délai manquant sur un cycle de dégivrage, ou une unité qui a réellement besoin de maintenance.

Un auditeur ou un assureur posera trois questions : quand l'écart a-t-il commencé, qui a été prévenu et quand, et qu'est-ce qui a été fait. Cela signifie que l'historique des alarmes, les tentatives de notification et les accusés de réception doivent résider dans le même dossier que la mesure, être exportables, et impossibles à modifier après coup.

• Mesures horodatées autour de l'événement, pas seulement l'écart lui-même.
• Chaque tentative de notification avec le canal, le destinataire et le résultat.
• L'accusé de réception, avec la personne qui l'a donné.
• L'action entreprise et le retour à la normale, enregistrés au regard du même événement.